Ich versprech mir vom Posten eine bessere Lösung.

Also wirklich...eine Bereinigung ist eher die Notlösung. Wenn man die Möglichkeit hat, wird man auch neu aufsetzen können und nicht aus Faulheit irgendwelche Foren mit Logfiles füttern, in der Hoffnung das wieder hinzubiegen. In der Tat, bei manchen Infektionen bekommt man das sogar hin, aber in der Mehrzahl eher nicht bzw. nicht sicher genug.

Sei mir nicht böse, ich versteh einfach nur nicht die Philosophie dahinter. Wie klingt denn das für dich: Man hat eins der besten Backupprogramme, nutzt es einfach zu selten, um denn irgendwas wieder per Forum zu bereinigen.

Wenn du die Möglichkeit hast, nutze das Image.

Ok cosinus, da du mir offenbar noch immer nicht folgen kannst: ich wollte in Erfahrung bringen, ob mein System, falls - wie sich nun wohl herausstellt - befallen, zu sanieren ist. Und habe bei einer etwaigen Sanierung auf kompetente Unterstützung gehofft. Ein Kerngedanke dieses Forums aus meiner Sicht. Dies nun vor dem Hintergrund, dass die Möglichkeit es wiederherzustellen eben NICHT besteht. Falls du mit deinem zweifelhaften Beitrag versucht hast, meine Frage zu verneinen, frage ich mich, wieso du die Antwort bei mir als bekannt vorraussetzt. Sogar eine Erklärung.

Zitat von cosinus

Wenn man die Möglichkeit hat, wird man auch neu aufsetzen können und nicht aus Faulheit irgendwelche Foren mit Logfiles füttern, in der Hoffnung das wieder hinzubiegen.

Zudem würde mich deine - vllt Licht in die Sache bringende - Definition von Faulheit in obigem Kontext interessieren. Nennst du es auch faul, bei vollem Autoaschenbecher diesen zu leeren, anstatt weder Kosten noch Mühen zu scheuen, das Fahrzeug erneut zu beschaffen, mit leerem Aschenbecher? Mit dem Hund den Tierarzt aufzusuchen, anstatt einen neuen in deinem Umfeld zu installieren?

"Na hätten Sie mal besser auf Ihre Gesundheit geachtet. Auf Wiedersehen!" -- "...au..auf Wiedersehen Herr Doktor" ?

Da du dich, um beim Bild zu bleiben, als Arzt nicht wirklich zu qualifizieren scheinst, wozu dein Beitrag?

Kann mir jemand weiterhelfen?


(Dass ich die Logfiles auf dein Anraten gepostet habe, sei dann mal dahingestellt oder? Zum Thema Philosophie.)

Ich habs dir nur geschrieben, dass du in Zukuft evtl. mal stärker auf die Imaging-Lösung setzt, denn eine Bereinigung ist meist nur Flickschusterei - wir könnens aber trotzdem machen. Ich schau mir gleich mal deine Logfiles genauer an. Du solltest aber eben im Hinterkopf behalten, dass bei einer Bereinigung eben die Möglichkeit besteht, dass nicht alles aufgespürt bzw. entfernt werden kann.

Bei dir verdichten sich die Hinweise auf eine Look2me-Infektion:

Offending Key found: HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings\ZoneMap\Domains\look2me !!! 
2007-10-17 00:50 468,480 --a------ C:\WINDOWS\system32\NMDll.dll
         

Daher mal folgendes Tool herunterladen und starten -> Look2Me Destroyer

-Vorher alle Windows-Fenster schließen
-Programm starten -> Scan for L2M -> danach Remove L2M
-dann wird der Rechner heruntergefahren
-Nach dem Neustart den Inhalt der Look2Me-Destroyer.txt posten.

thx! habe den scanner laufen lassen, mit folgendem ergebnis:

Look2Me-Destroyer V1.0.12

Scanning for infected files.....
Scan started at 20.10.2007 17:58:04


Attempting to delete infected files...

Making registry repairs.


Restoring Windows certificates.

Replaced hosts file with default windows hosts file


Restoring SeDebugPrivilege for Administratoren - Succeeded
         

Ok. Mach mal ein Filelist, vllt. sehen wir dadurch noch weitere krumme Dateien:

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop, öffne die nun auf deinem Desktop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

Falls noch vorhanden, werte diese Dateien bei Virustotal aus und poste die Ergebnisse:

C:\WINDOWS\yhl.dll
C:\WINDOWS\lq.dll
         

C:\WINDOWS\yhl.dll

Result: 0/31 (0%)
File size: 20480 bytes

Im Hexeditor fand ich gegen Ende der Datei den String "Copyright (C) 1995,1996,1997 Realnetworks, Inc."
Hatte den neuesten RealPlayer auch erst kuerzlich installiert, dann wieder deinstalliert.
Dateidatum der letzten Aenderung ist jedoch 27.07.2003 (?), Erstellungsdatum 17.10.2007.


C:\WINDOWS\lq.dll

Result: 0/31 (0%)
File size: 7168 bytes

Dateidatum letzter Aenderung ist 09.06.2003, Erstellungsdatum wieder 17.10.2007. *kopfkratz*
Im Hexeditor habe ich keinen entsprechenden String gefunden.


Filelist

----- Root ----------------------------- 

 Verzeichnis von C:\

21.10.2007  13:35     1.006.030.848 hiberfil.sys
21.10.2007  13:35     1.560.281.088 pagefile.sys
19.10.2007  01:54                 0 23990098.$$$

 
----- System32 ------------------------- 

 Verzeichnis von C:\WINDOWS\system32

18.10.2007  19:33             5.686 jupdate-1.6.0_03-b05.log
18.10.2007  10:33            79.877 adssite-remove.exe
17.10.2007  20:06            40.733 rightonadz-uninst.exe
14.10.2007  19:35             1.158 wpa.dbl
01.10.2007  19:29             1.409 tmp19378.FOT
01.10.2007  19:29             1.409 tmp40378.FOT
01.10.2007  19:29             1.409 tmp87278.FOT
01.10.2007  19:29             1.409 tmpBE178.FOT
29.09.2007  16:24             1.409 tmpD0023.FOT
29.09.2007  16:24             1.409 tmp18F13.FOT
28.09.2007  07:19        18.089.592 MRT.exe
26.09.2007  19:50                75 ScreensaverManager.log
24.09.2007  23:31           139.264 javaws.exe
24.09.2007  23:31            69.632 javacpl.cpl
24.09.2007  22:30           135.168 javaw.exe
24.09.2007  22:30           135.168 java.exe
18.09.2007  18:37             5.214 jupdate-1.6.0_02-b06.log

 
----- Prefetch ------------------------- 

 Verzeichnis von C:\WINDOWS\Prefetch

21.10.2007  14:14            13.116 FIND.EXE-0EC32F1E.pf
21.10.2007  14:13            16.398 CMD.EXE-087B4001.pf
21.10.2007  14:11            16.916 NOTEPAD.EXE-336351A9.pf
21.10.2007  14:11            69.774 WINRAR.EXE-3588DFE8.pf
21.10.2007  14:11            16.342 VERCLSID.EXE-3667BD89.pf
21.10.2007  13:58            54.914 PSPAD.EXE-1D63659A.pf
21.10.2007  13:51            18.116 SNDVOL32.EXE-383480B7.pf
21.10.2007  13:47            71.152 TRILLIAN.EXE-302642F0.pf
21.10.2007  13:46            19.664 NOTEPAD.EXE-189578DA.pf
21.10.2007  13:44            94.824 FIREFOX.EXE-046A72A5.pf
21.10.2007  13:44            43.868 FIREFOXPORTABLE.EXE-34E83F69.pf
21.10.2007  13:36            37.948 WUAUCLT.EXE-399A8E72.pf
21.10.2007  13:36            26.954 TOR.EXE-07E0527E.pf
21.10.2007  13:36            32.068 WMIPRVSE.EXE-28F301A9.pf
21.10.2007  13:36            13.790 LOCATOR.EXE-2C8326B1.pf
21.10.2007  13:36            11.466 HID2HCI.EXE-0869C6B5.pf
21.10.2007  13:36         1.135.804 NTOSBOOT-B00DFAAD.pf
21.10.2007  06:11            17.876 LOGONUI.EXE-0AF22957.pf
20.10.2007  20:32            52.950 FOOBAR2000.EXE-1D515AA1.pf
20.10.2007  20:30            26.070 LASTFMHELPER.EXE-398ECA4E.pf
20.10.2007  20:30            43.724 LASTFM.EXE-2B09628D.pf
20.10.2007  20:24            21.028 RUNDLL32.EXE-12E27DD0.pf
20.10.2007  18:05            20.000 REGSVR32.EXE-25EEFE2F.pf
20.10.2007  18:05            12.544 REGEDIT.EXE-1B606482.pf
20.10.2007  17:58            17.972 LOOK2ME-DESTROYER.EXE-06A8334A.pf
20.10.2007  17:57            14.338 AT.EXE-2770DD18.pf
20.10.2007  17:57            43.068 AVGINET.EXE-035BBB37.pf
20.10.2007  17:30            75.242 ACRORD32.EXE-153330F0.pf
20.10.2007  17:30            77.490 ACRORD32INFO.EXE-19D979CC.pf
20.10.2007  15:07            75.470 THUNDERBIRD.EXE-031A6371.pf
20.10.2007  13:30            20.996 DRWTSN32.EXE-2B4B52AC.pf
20.10.2007  13:30            62.434 DWWIN.EXE-30875ADC.pf
20.10.2007  13:28            18.858 TASKMGR.EXE-20256C55.pf
20.10.2007  12:51            71.406 VCEXPRESS.EXE-088FECEA.pf
19.10.2007  20:37            27.702 ENGINE.EXE-15393964.pf
19.10.2007  20:37            82.664 IEXPLORE.EXE-2CA9778D.pf
19.10.2007  17:15            43.850 SYSTEMOPTIMIZER.EXE-191231CF.pf
19.10.2007  17:15            81.530 REGISTRYCLEANER.EXE-2ACFEEF7.pf
19.10.2007  15:21            15.426 CALC.EXE-02CD573A.pf
19.10.2007  14:16            52.776 AUDACITY.EXE-23DBBCC2.pf
19.10.2007  13:52            51.268 DFRGNTFS.EXE-269967DF.pf
19.10.2007  13:52            23.320 DEFRAG.EXE-273F131E.pf
19.10.2007  13:52           362.938 Layout.ini
19.10.2007  13:34            28.390 GUILDFTPD.EXE-091FA379.pf
19.10.2007  13:34            26.530 WSCRIPT.EXE-32960AB9.pf
19.10.2007  13:32            54.896 PING.EXE-31216D26.pf
19.10.2007  11:02             7.170 CHCP.COM-18156052.pf
19.10.2007  11:02            14.192 IS-NAK5P.TMP-359348CC.pf
19.10.2007  11:02            14.582 HITMANPRO26.EXE-07459FB3.pf
19.10.2007  10:59            11.882 VBRPCCHYJYK.EXE-15E2157F.pf
19.10.2007  10:59            12.302 ROOTKITREVEALER.EXE-301CB48B.pf
19.10.2007  10:00            74.474 SPYBOTSD.EXE-1D495A65.pf
19.10.2007  09:36            16.898 HELPER.EXE-36449B49.pf
19.10.2007  09:35            62.006 UPDATER.EXE-35A8DB8E.pf
19.10.2007  09:08            30.370 AVGW.EXE-2A7BF89D.pf
18.10.2007  22:13             7.810 GREP.CFEXE-20443039.pf
18.10.2007  22:12             6.974 SED.CFEXE-268D7E58.pf
18.10.2007  20:52            25.070 SCRNSAVE.SCR-017F06EB.pf
18.10.2007  19:36            44.238 SMARTFTP.EXE-28770AA4.pf
18.10.2007  19:31           184.238 CIDAEMON.EXE-27AE97A4.pf
              60 Datei(en)      3.728.076 Bytes
 
----- Windows -------------------------- 

 Verzeichnis von C:\WINDOWS

21.10.2007  13:37         1.217.972 WindowsUpdate.log
21.10.2007  13:35             6.104 ModemLog_Bluetooth DUN Modem.txt
21.10.2007  13:35             6.098 ModemLog_Bluetooth Fax Modem.txt
21.10.2007  13:35                 0 0.log
21.10.2007  13:35             5.142 ModemLog_Smart Link 56K Modem.txt
21.10.2007  13:35               159 wiadebug.log
21.10.2007  13:35                50 wiaservc.log
21.10.2007  13:35             2.048 bootstat.dat
21.10.2007  06:11            32.614 SchedLgU.Txt
21.10.2007  05:21           758.171 setupapi.log
19.10.2007  02:27                26 Lic.xxx
19.10.2007  01:34           214.742 ntbtlog.txt
18.10.2007  22:43               969 win.ini
16.10.2007  23:29               116 NeroDigital.ini
15.10.2007  19:06           249.856 Setup1.exe
15.10.2007  19:06            73.216 ST6UNST.EXE
12.10.2007  15:35             2.024 ModemLog_Bluetooth LAP Modem #2.txt
12.10.2007  15:35             2.024 ModemLog_Bluetooth LAP Modem.txt
10.10.2007  19:02           169.233 ntdtcsetup.log
10.10.2007  19:02           317.325 tsoc.log
10.10.2007  19:02           278.985 comsetup.log
10.10.2007  19:02           127.919 iis6.log
10.10.2007  19:02             1.393 imsins.log
10.10.2007  19:02            45.063 ocmsn.log
10.10.2007  19:02            14.124 KB933729.log
10.10.2007  19:02           404.851 ocgen.log
10.10.2007  19:02            40.941 msgsocm.log
10.10.2007  19:02           819.305 FaxSetup.log
10.10.2007  19:02            60.470 updspapi.log
10.10.2007  19:02             1.393 imsins.BAK
10.10.2007  19:02            42.381 KB939653.log
10.10.2007  18:59            15.870 KB941202.log
02.10.2007  22:01           213.639 setupact.log
28.09.2007  09:06           135.168 catchme.exe
29.08.2007  16:32            27.249 KB933360.log
 
----- Tasks ---------------------------- 

 Verzeichnis von C:\WINDOWS\tasks

21.10.2007  13:35                 6 SA.DAT
19.10.2007  17:16               390 1-Klick-Wartung.job
04.08.2004  14:00                65 desktop.ini
               3 Datei(en)            461 Bytes
 
----- Wintemp -------------------------- 

 Verzeichnis von C:\WINDOWS\temp

20.10.2007  17:58            16.384 ~DF64F7.tmp
18.10.2007  22:37                 0 T30DebugLogFile.txt
               2 Datei(en)         16.384 Bytes
 
----- Temp ----------------------------- 

 Verzeichnis von C:\WINTEMP

21.10.2007  14:14           136.169 filelist.txt
21.10.2007  13:50        25.014.993 fla5.tmp
21.10.2007  13:40             1.557 jusched.log
19.10.2007  02:33           518.824 sfdb.dat
19.10.2007  02:33        28.784.614 MWAV.LOG
19.10.2007  02:27            80.921 mwXface.log
18.10.2007  22:48               385 EUpdate.ini
18.10.2007  22:48            12.012 Download.log
18.10.2007  22:43             5.886 filelist.lst
18.10.2007  22:43                 0 download.lck
18.10.2007  22:42           626.688 msvcr80.dll
18.10.2007  22:42           548.864 msvcp80.dll
18.10.2007  22:42           241.664 MYDB.DLL

----- UserTemp ------------------------- 

 Verzeichnis von C:\Dokumente und Einstellungen\***\Lokale Einstellungen\temp
 
Datei nicht gefunden
         

C:\WINDOWS\system32\rightonadz-uninst.exe ergab bei Virustotal:

Result: 1/31 (3.23%)
Rising 19.45.62.00 2007.10.21 Trojan.DL.Win32.Zlob.dbi


C:\WINDOWS\system32\adssite-remove.exe ergab ebenfalls:

Result: 1/32 (3.13%)
Rising 19.45.62.00 2007.10.21 Trojan.DL.Win32.Zlob.dbi


C:\WINDOWS\ST6UNST.EXE ergab:

Result: 0/32 (0%)


C:\WINDOWS\catchme.exe ergab:

Result: 4/32 (12.5%)
CAT-QuickHeal 9.00 2007.10.20 (Suspicious) - DNAScan
eSafe 7.0.15.0 2007.10.15 suspicious Trojan/Worm
Prevx1 V2 2007.10.21 Heuristic: Suspicious File With Code Injection Technology
Sunbelt 2.2.907.0 2007.10.20 VIPRE.Suspicious

File size: 135168 bytes
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.



Ich bekomm ferner die letzten Tage unerwartet Werbe-Popups im Firefox oder Meldungen "NOTICE: If your computer has been running slower than normal, it may be infected with Viruses, Adware or Spyware. MalwareAlarm will perform a quick and completely FREE scan of your system for malicious programs. Download MalwareAlarm for FREE now!" die ich mit ALT+F4 schliesse.

Danke für deine bisherige Mühe!